Νέο Cryptolocker ransomware που στοχεύει παίκτες διαδικτυακών παιχνιδιών

Οι ερευνητές ασφαλείας εντόπισαν ένα νέο κακόβουλο λογισμικό που στοχεύει παίκτες διαδικτυακών παιχνιδιών. Το νέο ransomware λειτουργεί σαν Cryptolocker, και ονομάστηκε Teslacrypt. Επιχειρεί να μολύνει υπολογιστές με Windows, αξιοποιώντας μια ευπάθεια στο Adobe Flash (CVE-2015-0311) ή στον Internet Explorer (CVE-2013-2551).Το κακόβουλο λογισμικό διανέμεται από μια παγιδευμένη ιστοσελίδα που περιέχει ένα iframe που χρησιμοποιεί JavaScript. Το javascript ανακατευθύνει τους επισκέπτες της ιστοσελίδας σε άλλες μέχρι που καταλήγουν στο Angler Exploit Kit.Μόλις εγκατασταθεί, το Teslacrypt σαρώνει το σύστημα αρχείων του συστήματος, και,...
κρυπτογραφεί τα αρχεία που ταιριάζουν με μια τύπων αρχείων που συμπεριλαμβάνονται στον κώδικα του. Αμέσως μετά, δημιουργεί ένα τυχαίο κλειδί AES για κάθε αρχείο χρησιμοποιώντας κώδικα OpenSSL. Τα κλειδιά αυτά τα χρησιμοποιεί για να κρυπτογραφήσει τα δεδομένα του υπολογιστή που μολύνθηκε. Στη συνέχεια κρυπτογραφεί τα κλειδιά AES χρησιμοποιώντας ένα δημόσιο κλειδί που αποτελείται από ένα ζεύγος κλειδιών 2048-bit RSA.
Το ιδιωτικό κλειδί, που απαιτείται για την αποκρυπτογράφηση των κλειδιών ανά αρχείο και τελικά για την αποκατάσταση των κωδικοποιημένων δεδομένων, αποθηκεύεται στο διακομιστή διοίκησης και ελέγχου των απατεώνων.Τα θύματα πρέπει να καταβάλουν σαν λύτρα το ποσό των 500 δολαρίων σε Bitcoin, ή να αγοράσουν και να παραδώσουν μια κάρτα Paypal My Cash αξίας 1.000 δολάριων, χρησιμοποιώντας μια ιστοσελίδα που είναι κρυμμένη στο δίκτυο Tor.
Οι διακομιστές εντολών και ελέγχου είναι επίσης κρυμμένοι στο δίκτυο Tor, και το maleare επικοινωνεί με αυτούς μέσω HTTP. Το Teslacrypt αφήνει επίσης τα ακόλουθα αρχεία στα μολυσμένα μηχανήματα

%AppData%\<random>.exe
%AppData%\key.dat
%AppData%\log.html
%Desktop%\CryptoLocker.lnk
%Desktop%\HELP_TO_DECRYPT_YOUR_FILES.bmp
%Desktop%\HELP_TO_DECRYPT_YOUR_FILES.txt

…και σταματάει κάθε προσπάθεια εκτέλεσης των παρακάτω προγραμμάτων

taskmgr
procexp
regedit
msconfig
cmd.exe

Μια ανάλυση που πραγματοποιήθηκε από την εταιρεία ασφαλείας Bromium Labs δείχνει ότι το TeslaCrypt είναι πολύ διαφορετικό από το Cryptolocker, και ο εκτελέσιμος κώδικας μοιάζει μόνο στο 8%. Και αν και χρησιμοποιεί κρυπτογράφηση RSA, φαίνεται ότι τα κλειδιά δημιουργούνται στα συστήματα των απατεώνων.
Το νέο κακόβουλο λογισμικό, φαίνεται ότι δεν επικεντρώνεται μόνο σε έγγραφα ή εικόνες, αλλά κρυπτογραφεί και αρχεία που σχετίζονται με περισσότερα από 20 παιχνίδια και υπηρεσίες παιχνιδιών. Τα αρχεία που κρυπτογραφεί περιλαμβάνουν, στοιχεία του προφίλ του χρήστη σε αποθηκευμένα παιχνίδια, χάρτες και mods.
Μπορεί να χτυπήσει παιχνίδια όπως το ....

Διαβάστε περισσότερα στο: www.iguru.gr